Veille sécuritéCMS & e-commerce
P3Critique
SimpleForm permet à un attaquant non authentifié de créer un compte WordPress avec des privilèges d’administrateur. Toutes les versions jusqu’à 3.10.0 inclus sont concernées ; les données fournies ne précisent pas de version corrigée.
WordPress
IdentifiantCVE-2026-104748
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-104748
Analyse technique
L’action AJAX publique d’inscription ne contrôle pas les capacités attribuées. Le mécanisme d’écriture des métadonnées utilisateur permet de renseigner wp_capabilities ; le nonce requis est exposé dans les pages publiques selon la fiche.
Impact, versions et correctif
Événement datéPublication de la fiche NVD pendant la période : 2026-10-14T08:17:02.997Z. La date de publication, et non la mise à jour ultérieure de la fiche, est l’événement retenu.
ImpactUn attaquant distant non authentifié peut obtenir un compte administrateur et prendre le contrôle du site.
Versions affectéesToutes les versions jusqu’à 3.10.0 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.8
EPSS0,65% · percentile 49,8%
Publication2026-10-14T08:17:02.997Z
Mise à jour2026-10-14T14:26:59.367Z
Action recommandée
Désactiver le plugin ou l’inscription vulnérable jusqu’à disponibilité d’un correctif, puis installer la version corrigée dès sa publication.
Sources
Priorisation DFS : P3 · 1 source(s).